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® Uberwachungsvorrichtung und Uberwachungsverfahren 
@ Die Erfindung betrifft eine Uberwachungsvorrichtung l4 
zur Oberwachung von uber einen Datenbus (12) gesende- 
ten Nachrichten in einem Kraftfahrzeug, wobei die Uber- 
wachungsvorrichtung eine an den Datenbus (12) ange- 
schlossene Kontrolleinheit (18) umfafct, die eine Spei- 
chereinheit (20) aufweist, in der bekannte Nachrichten ab- 
gelegt sind, wobei die Kontrolleinheit (18) dazu ausgelegt 
ist, die uber den Datenbus (12) gesendeten Nachrichten 
zu ermitteln und diese mit den bekannten Nachrichten zu 
vergleichen, wobei durch den Vergleich mindestens eine 
fremde Nachricht ermittelbar ist, wobei die Kontrollein- 
heit (18) eine Bewertungseinheit (22) fur die Ermittlung ei- 
ner KenngroRe der mindestens einen fremden Nachricht 
aufweist, wobei die Kenngrofte charakteristisch fur eine 
Gefahrdung eines einwandfreien Betriebs des Kraftfahr- 
zeugs durch die mindestens eine fremde Nachrichtg ist, 
wobei die Kontrolleinheit (18) dazu ausgelegt ist, eine 
Fehlermeldung zu generieren, wenn die KenngroBe der 
mindestens einen fremden Nachricht einen Sen well en- 
wert uberschreitet. Die Erfindung betrifft auch ein ent- 
sprechendes Uberwachungsverfahren. 
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Beschreibung 

[0001] Die vorliegende Erfindung betrifft eine Uberwa- 
chungsvorrichtung zur Uberwachung von iiber einen Daten- 
bus gesendeten Nachrichten in einem Kraftfahrzeug. Die Er- 5 
findung betrifft auch ein entsprechendes Uberwachungsver- 
fahren. 

[0002] Bei einem Datenbus handeit es sich um ein System 
zur Datenkommunikauon, bei dem an den Datenbus ange- 
schlossene Busteiinehmer iiber eine Sammelleitung mitein- 10 
ander verbunden sind. Auf diese Weise konnen m eh re re an 
den Datenbus angeschlossene Busteiinehmer mitein ander 
kommunizieren, ohne individuell direkt miteinander verka- 
belt zu sein. Bekannte Datenbusse sind bei spiels weise 
CAN-Busse, Profibusse oder sogenannte Interbusse. 15 
[0003] In der DE 1 99 40 874 wird unter anderem ein Ver- 
fahren beschrieben, bei dem die Anwesenheit aller aktiv an 
einen Datenbus angeschlossenen Busteiinehmer iiberpruft 
werden kann. Eine zentrale Rolle spielt dabei eine soge- 
nannte Verwaltungseinheit, bei der alle Busteiinehmer ange- 20 
meldet sind. Die Verwaltungseinheit versendet in zyklischen 
Zeitabstanden Verbindungsprufungstelegramme an samtli- 
che an den Datenbus angeschlossene Busteiinehmer. Die an- 
geschlossenen Busteiinehmer antworten daraufhin mit ent- 
sprechenden Antworttelegrammen, aufgrund derer die Ver- 25 
waltungseinheit uber die Anzahl der aktiv an dem Datenbus 
angeschlossenen Einheiten informiert ist. Sie muB folglich 
die Antworttelegramme mit den bei ihr angemeldeten Bus- 
teilnehmern vergleichen. Bleibt ein Antworttelegramm aus, 
kann die Verwaltungseinheit erkennen, daB ein Busteilneh- 30 
mer nicht mehr aktiv an den Datenbus angeschlossen oder 
defekt ist. Neu angeschlossene Busteiinehmer konnen nur 
dann durch die Verwaltungseinheit erkannt und mit einer de- 
finierten Teilnehmeradresse versehen werden, wenn diese 
sich bei der Verwaltungseinheit anmelden. Folglich kann ein 35 
fremder Sender, der fremde Nachrichten an andere Busteii- 
nehmer und nicht an die Verwaltungseinheit sendet, durch 
die Verwaltungseinheit nicht erkannt werden. Dies ist je- 
doch dann von besonderem Nachteil, wenn durch diese 
fremden Nachrichten der einwandfreie Betrieb einer Anlage 40 
gefahrdet ist. AuBerdem erscheint das in der DE 199 40 874 
beschriebene Verfahren extrem aufwendig, so daB es sicher- 
lich nur in industriellen GroBanlagen und nicht etwa auch in 
Kraftfahrzeugen Anwendung findet. 

[0004] DemgemaB ist es Aufgabe der Erfindung, eine 45 
Uberwachungsvorrichtung und ein Uberwachungsverfahren 
bereitzustellen, durch die bzw. durch das eine sichere Uber- 
wachung von uber einen Datenbus gesendeten Nachrichten 
vorgenommen werden kann und die bzw. das auf einfache 
Art und Weise in einem Kraftfahrzeug umgesctzt werden 50 
kann und so zu einem einwandfreien Betrieb des Kraftfahr- 
zeugs beitragt. 

[0005] Diese Aufgabe wird durch eine Uberwachungsvor- 
richtung zur Uberwachung von iiber einen Datenbus gesen- 
deten Nachrichten in einem Kraftfahrzeug gelost, wobei die 55 
Uberwachungsvorrichtung eine an den Datenbus ange- 
schlossene Kontrolleinheit umfaBt, die eine Speichereinheit 
aufweist, in der bekannte Nachrichten abgelegt sind, wobei 
die Kontrolleinheit dazu ausgelegt ist, die iiber den Daten- 
bus gesendeten Nachrichten zu ermitteln und diese mit den 60 
in der Speichereinheit abgelegten bekannten Nachrichten zu 
vergleichen, wobei durch den Vergleich mindestens eine 
fremde Nachricht ermittelbar ist. Die Kontrolleinheit weist 
weiterhin eine Bewertungseinheit fur die Ermittlung einer 
KenngroBe der mindestens einen fremden Nachricht auf, 65 
wobei die KenngroBe charakteristisch fur eine Gefahrdung 
eines einwandfreien Betriebs des Kraftfahrzeugs durch die 
mindestens eine fremde Nachricht ist. Die Kontrolleinheit 
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ist weiterhin dazu ausgelegt, eine Fehlermeldung zu gene- 
rieren, wenn die KenngroBe der mindestens einen fremden 
Nachricht einen Schwellenwert iiberschreitet. 
[0006] Durch die erfindungsgemaBe Uberwachungsvor- 
richtung ist es folglich moglich, fremde, also mogUcher- 
weise unerwiinschte Nachrichten in einem Datenstrom zu 
identifizieren und anschlieBend daraufhin zu analysieren, ob 
sie den einwandfreien Betrieb des Kraftfahrzeugs gefahrden 
konnen. Dadurch, daB eine Fehlermeldung generiert werden 
kann, wenn die fremden Nachrichten eine Gefahrdung dar- 
stellen, kann beispielsweise werkstattseitig sofort eine ent- 
sprechende MaBnahme ergriffen werden, die den einwand- 
freien Betrieb des Kraftfahrzeugs gewahrleistet. Auf diese 
Weise konnen im Kundendienst erhebliche Kosten einge- 
spart werden, die ohne die erfindungsgemaBe Uberwa- 
chungsvorrichtung notwendig waren, um einen Fehler zu 
finden. Durch die erfindungsgemaBe Uberwachungsvorrich- 
tung wird wirkungsvoll verhindert, daB unbemerkt fremde 
Nachrichten uber den Datenbus gesendet werden und so den 
einwandfreien Betrieb des Kraftfahrzeugs gefahrden. Die 
erfindungsgemaBe Oberwachungsvorrichtung leistet damit 
einen entscheidenden Beitrag zur Sicherheit bei dem Betrieb 
des Kraftfahrzeugs. Sie ist auBerdem ieicht in einem Kraft- 
fahrzeug umsetzbar, da lediglich eine entsprechende Kon- 
trolleinheit an den Datenbus angeschlossen werden muB. 
Alternativ kann auch ein Busteiinehmer, der bereits fur eine 
bestimmte Funktion im Kraftfahrzeug vorgesehen ist, durch 
entsprechende Umgestaltung als Kontrolleinheit eingesetzt 
werden, so daB er die Aufgaben der Kontrolleinheit uber- 
nimmt und auBerdem die bestimmte Funktion ausiibt. Im 
Sinne der Erfindung ist unter einem Datenbus auch ein Netz- 
werk aus mehreren vernetzten Datenbussystemen zu verste- 
hen, so daB in diesem Fall nicht an jedes Datenb ussy stem 
eine separate Kontrolleinheit anzuschlieBen ist. 
[0007] Eine erste vorteilhafte Weiterbildung der Erfin- 
dung sieht vor, daB die Kontrolleinheit einen Fehlerspeicher 
aufweist, in den die Fehlermeldung eintragbar ist. Auf diese 
Weise ist die Fehlermeldung zumindest fur eine gewisse 
Dauer in der Uberwachungsvorrichtung abgespeichert, so 
daB sie jederzeit abgerufen werden kann. In den Fehlerspei- 
cher konnen auch mehrere Fehlermeldungen eingetragen 
werden, so daB von einer Werkstatt beziehungs weise von ei- 
nem Kundendienst eine detaillierte Analyse vorgenommen 
werden kann. Eine solche Analyse kann beispielsweise da- 
durch erfolgen, daB eine externe, nicht zum Kraftfahrzeug 
gehorige Uberprufungseinheit mit dem Fehlerspeicher ver- 
bunden wird, so daB der Fehlerspeicher durch die externe 
Uberprufungseinheit abrufbar ist. Durch eine Verbindung 
der externen Uberprufungseinheit mit dem Datenbus kon- 
nen dann auf das Analyseergebnis abgestimmte Testpro- 
gramme durchgefuhrt werden, die die Konfiguration von 
Busteilnehmern uberpriifen und gegebenenfalls korrigieren. 
[0008] AuBerdem konnen bei der erfindungsgemaBen 
Uberwachungsvorrichtung die Funktionen realisiert sein, 
die im Folgenden im Zusammenhang mit dem erfindungsge- 
maBen Uberwachungsverfahren beschrieben werden, das 
eine weitere Losung der obigen Aufgabe darstellt. 
[0009] Das erfindungsgemaBe Uberwachungsverfahren 
zur Uberwachung von uber einen Datenbus gesendeten 
Nachrichten umfaBt folgende Schritte: 
In Schritt a) werden die iiber den Datenbus gesendeten 
Nachrichten ermittelt. Die ermittelten Nachrichten werden 
daraufhin in Schritt b) mit in einer Speichereinheit abgeleg- 
ten bekannten Nachrichten verglichen, um mindestens cine 
fremde Nachricht zu ermitteln. In Schritt c) folgt das Ermit- 
teln einer KenngroBe der mindestens einen fremden Nach- 
richt, die charakteristisch fur eine Gefahrdung eines ein- 
wandfreien Betriebs des Kraftfahrzeugs durch die minde- 
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stens eine fremde Nachricht ist. In Schritt d) wird eine Feh- 
lermeldung generiert, wenn die KenngroBe der mindestens 
einen fremden Nachricht einen Schwellenwert fibers chrei- 
tet. 

[0010] Die Gefahrdung des einwandfreien Betriebs kauri 5 
in einer Ausgestaltung der Erfindung darin bestehen, daB die 
mindestens eine fremde Nachricht die Datenbuskapazitat fur 
die bekannten Nachrichten entscheidend beschrankt. Bei- 
spielsweise kann die mindestens eine fremde Nachricht von 
einem fremden Sender gesendet werden, der zwar in zahirei- 10 
chen Kraftfahrzeugkonfigurationen eine wesendiche Rolle 
spielt, jedoch bei der Kraftfahrzeugkonfiguration des be- 
trachteten Kraftfahrzeugs nur Nachrichten mit fiir die Kraft- 
fahrzeugkonfiguration sinnlosen Inhalten erzeugt. Dieser 
Fall kann auftreten, wenn dieselbe Komponente unter ande- 15 
rem aus Kostengriinden in verschiedenen Kraftfahrzeugty- 
pen eingesetzt wird, wobei die Komponente in den verschie- 
denen Kraftfahrzeugtypen eigentlich unterschiedlich konfi- 
guriert sein sollte. Die Versendung der fremden Nachricht 
kann dann dazu fuhren, daB die Datenbuskapazitat fiir die 20 
wichtigen anderen Nachrichten eingeschrankt wird, so daB 
der einwandfreie Betrieb des Kraftfahrzeugs gefahrdet ist. 
[0011] Eine besonders vorteilhafte Ausgestaltung der Er- 
findung sieht daher vor, daB in Schritt c) eine Sendehaufig- 
keit ermittelt wird, mit der die mindestens eine fremde 25 
Nachricht gesendet wird, und die KenngroBe mit der Sende- 
haufigkeit beaufschlagt ist, insbesondere proportional zu der 
Sendehaufigkeit ist. Unter Sendehaufigkeit ist im Sinne der 
Erfindung die Anzahl der mindestens einen fremden Nach- 
richt pro Zeiteinheit zu verstehen. Bei dieser Ausgestaltung 30 
der Erfindung kann der in Schritt d) eingesetzte Schwellen- 
wert in Abhangigkeit der Sendehaufigkeiten der bekannten 
Nachrichten bestimmt werden. 

[0012] Alternativ kann in Schritt c) eine Prioritat ermittelt 
werden, mit der die mindestens eine fremde Nachricht ge- 35 
sendet wird, wobei die KenngroBe mit der Prioritat beauf- 
schlagt ist, insbesondere proportional zu der Prioritat ist. In 
der Regel ist die Prioritat einer Nachricht in dieser selbst 
enthalten, so daB die Prioritat der mindestens einen fremden 
Nachricht sehr leicht zu ermitteln ist. In dieser Ausgestal- 40 
tung der Erfindung kann in Schritt d) ein Schwellenwert ein- 
gesetzt werden, in den die Prioritaten der bekannten Nach- 
richten Eingang gefunden haben. 

[0013] In einer weiteren alternativen Ausgestaltung kann 
in Schritt c) eine Prioritat und eine Sendehaufigkeit ermittelt 45 
werden, mit denen die mindestens eine fremde Nachricht 
gesendet wird, wobei die KenngroBe mit einer mathemati- 
schen Verknupfung von Prioritat und Sendehaufigkeit be- 
aufschlagt ist, insbesondere proportional zu der mathemati- 
schen Verknupfung von Prioritat und Sendehaufigkeit ist. So 50 
kann die KenngroBe beispielsweise mit dem Produkt aus der 
Prioritat und der Sendehaufigkeit beaufschlagt sein. Der in 
Schritt d) eingesetzte Schwellenwert kann in diesem Fall an- 
hand des Produktes von Prioritat und Sendehaufigkeit der 
bekannten Nachrichten ermittelt werden. Im Sinne der Er- 55 
findung ist unter einer mathematischen Verknupfung aber 
auch eine Summenbildung oder eine Kombination verschie- 
dener mathematischer Operationen zu verstehen. 
[0014] Prinzipiell kann die Gefahrdung des einwandfreien 
Betriebs des Kraftfahrzeugs auch darin bestehen, daB die 60 
mindestens eine fremde Nachricht einen unerwiinschten Be- 
fehl kodiert. Eine solche fremde Nachricht kann beispiels- 
weise durch einen fremden Sender gesendet werden, der 
normalerweise in einer anderen Kraftfahrzeugkonfiguration 
eingesetzt wird, in der betrachteten Kraftfahrzeugkonfigura- 65 
tion jedoch zu einem Fehlverhalten fuhrt, da die anderen 
Busteilnehmer des Datenbusses nicht mit dem fremden Sen- 
der abgestimmt sind. 
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[0015] In diesem Fall kann in Schritt c) eine Empfange- 
radresse und/oder eine Senderadresse und/oder ein kodierter 
Befehlsinhalt der mindestens einen fremden Nachricht er- 
mittelt werden, wobei der Empfangeradresse und/oder der 
Senderadresse und/oder dem kodierten Befehlsinhalt der 
mindestens einen fremden Nachricht eine KenngroBe zuge- 
ordnet wird, die einen Grad der Gefahrdung reprasentiert. 
Besonders kritisch konnen beispielsweise Empfangeradres- 
sen von Empfangern sein, die fur die Steuerung von sicher- 
heitskritischen Prozessen zustandig sind. Unter einem si- 
cherheitskritischen Prozess wird hier ein Prozess verstan- 
den, von dem bei Auftreten eines Fehlers eine nicht akzepta- 
ble Gefahr fur Menschen oder das Kraftfahrzeug ausgeht. 
Ahnliches gilt fiir kodierte Befehlsinhalte, durch die sicher- 
heitskritische Prozesse umgesetzt werden konnen. Die Ge- 
fahr, die von bestimmten Sendeadressen ausgeht, wurde 
oben bereits beschrieben. Durch diese Ausgestaltung der Er- 
findung wird sozusagen der Grad der Gefahrdung, der von 
einem unerwiinschten Befehl ausgeht, festgelegt. In dem 
nachfolgenden Schritt d) wird schlieBlich festgestellt, ob die 
Gefahrdung akzeptierbar ist oder nicht. 
[0016] Bei Uberschreiten des Schwellenwerts kann in ei- 
ner weiteren besonders vorteilhaften Ausgestaltung der Er- 
findung eine weiterfuhrende Analyse der mindestens einen 
fremden Nachricht durchgefuhrt werden, wobei das Analy- 
seergebnis in die Fehlermeldung aufgenommen wird. Falls 
dies nicht schon in Schritt c) geschehen ist, konnen bei die- 
ser Analyse eine Senderadresse und/oder eine Empfange- 
radresse und/oder ein kodierter Befehlsinhalt der minde- 
stens einen fremden Nachricht ermittelt werden. Durch die 
Aufnahme des Analyseergebnisses in die Fehlermeldung 
wird vermieden, daB werkstattseitig, etwa durch eine ex- 
terne Uberpriifungseinheit, erst noch eine entsprechende 
Analyse durchgefuhrt werden muB, bevor geeignete MaB- 
nahmen ergriffen werden konnen. 

[0017] Eine besonders vorteilhafte Weiterbildung sieht 
vor, daB bei Uberschreiten des Schwellenwerts eine Not- 
laufmaBnahme durchgefuhrt wird, bei der mindestens ein 
Busteilnehmer des Datenbusses in einen sicherheitsunkriti- 
schen Zustand versetzt wird. Dabei kann der mindestens 
eine Busteilnehmer einen Sender mit einer Senderadresse 
der mindestens einen fremden Nachricht und/oder einen 
Empfanger mit einer Empfangeradresse der mindestens ei- 
nen fremden Nachricht umfassen. Auf diese Weise kann 
eine NotlaufmaBnahme sofort nach Feststellung der Stoning 
durchgefuhrt werden. Sie gewahrleistet einen weiteren ein- 
wandfreien Betrieb des Kraftfahrzeugs, ohne daB sofort eine 
Werkstatt oder ein Kundendienst eingeschaltet werden muB. 
[0018] In einer weiteren Weiterbildung der Erfindung 
werden die bekannten Nachrichten in der Speichereinheit 
abgelegt, indem in einem Initialisierungsschritt innerhalb ei- 
ner vorbestimmten Zeitspanne alle Nachrichten, die fiber 
den Datenbus gesendet werden, in die Speichereinheit ein- 
getragen werden. Ein sole her Initialisierungsschritt kann 
beispielsweise bei der Einrichtung des Netzwerks in dem 
Kraftfahrzeug durchgefuhrt werden. Gestartet wird der In- 
itialisierungsschritt zum Beispiel dadurch, daB alle Sender, 
die in der betreffenden Kraftfahrzeugkonfiguration ge- 
wiinscht sind und an dem Datenbus angeschlossen sind, 
dazu veranlaBt werden, alle Nachrichten fiber den Datenbus 
zu senden, die sinnvollerweise von ihnen zu senden sind. 
Dieser Vorgang kann vor allem durch ein Testprogramm in- 
itiiert werden. 

[0019] Im Folgenden werden Ausfuhrungsbeispiele der 
Erfindung unter Hinweis auf die beigefugten Zeichnungen 
naher beschrieben. Es zeigen: 

[0020] Fig. 1 eine schematische Darstellung einer ersten 
Ausfuhrungsform der erfindungsgemaBen Uberwachungs- 
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vorrichtung integriert in ein Datenbussystem; 
[0021] Fig. 2 einen Iterationsablauf einer Ausfuhrungs- 
form des erfindungsgemaBen Uberwachungsverfahrens; und 
[0022] Fig. 3 einen Iterationsablauf, der detaillierter einen 
Schritt einer Ausfuhrungsform des erfindungsgemaBen 5 
Uberwachungsverfahrens darstellt. 

[0023] In Fig. 1 ist eine erste Ausfuhrungsform einer er- 
findungsgemaBen Uberwachungs vorrichtung 10 schema- 
tise h dargestellt, die in ein Datenbussystem eines Kraftfahr- 
zeugs integriert ist. An einen Datenbus 12 sind mehrere 10 
Sende- und Empfangseinheiten 14 angeschlossen, die fiber 
den Datenbus 12 Nachrichten empfangen und/oder senden 
konnen. In der dargesteilten Ausfuhrungsform ist jeder 
Sende- und Empfangseinheit 14 jeweils eine Kraftfahrzeug- 
komponente 16 nachgeschaltet. Die Uberwachungsvorrich- 15 
tung 10 weist eine Kontrolleinheit 18 auf, die ebenfalls an 
den Datenbus 12 angeschlossen ist. Die Kontrolleinheit 18 
kann dabei auch in eine hier nicht dargestellte Sende- und 
Empfangseinheit mit einer bestimmten Funktion integriert 
sein. Sie umfaBt eine Speichereinheit 20, in der alle bekann- 20 
ten Nachrichten abgelegt sind. Unter bekannten Nachrichten 
sind dabei die Nachrichten zu verstehen, die von denen an 
den Datenbus 12 angeschlossenen Sende- und Empfangs- 
einheiten 14 bekannterweise versendet werden. Die bekann- 
ten Nachrichten konnen dabei in Tabellen oder Listen abge- 25 
legt sein. Da jede Nachricht gewohnlich aus mehreren Kom- 
ponenten, beispielsweise einer Senderadresse, einer Emp- 
fangeradresse und einem kodierten Befehlsinhalt, zusam- 
mengesetzt ist, konnen diese Komponenten auch in ver- 
schiedenen Tabellen abgelegt sein. Mehrere Nachrichten 30 
konnen folglich verschiedene Kombinationen von in den 
Tabellen abgespeicherten Senderadressen, Empfangeradres- 
sen und kodierten Befehlsinhalten darstellen. Die Kontroll- 
einheit 18 ist dazu ausgelegt, alle ilber den Datenbus 12 ge- 
sendeten Nachrichten zu kontrollieren. Dies geschieht, in- 35 
dem diese Nachrichten von der Kontrolleinheit 18 ermittelt 
werden und mit den in der Speichereinheit 20 abgelegten be- 
kannten Nachrichten verglichen werden. Durch diesen Ver- 
gleich kann beispielsweise eine fremde Nachricht identifi- 
ziert werden, die von einem systemexternen Sender 24 ver- 40 
sendet wurde. Die Kontrolleinheit 18 weist neben der Spei- 
chereinheit 20 eine Bewertungseinheit 22 auf, die fur die Er- 
mittlung einer KenngroBe der fremden Nachricht geeignet 
ist. Diese KenngroBe ist charakteristisch fur eine Gefahr- 
dung eines einwandfreien Betriebs des Kraftfahrzeugs durch 45 
die fremde Nachricht. In der Kontrolleinheit 18 ist auBer- 
dem ein Schwellenwert abgelegt, der mit der KenngroBe 
verglichen werden kann. Uberschreitet die KenngroBe den 
Schwellenwert, wird in dieser Ausfuhrungsform der erfin- 
dungsgemaBen Uberwachungsvorrichtung 10 eine Fehler- 50 
meldung in einen Fehlerspeicher 26 der Kontrolleinheit 18 
eingetragen. Alternativ oder zusatzlich wird die Fehlermel- 
dung in einem Display (nicht dargestellt) des Kraftfahrzeugs 
angezeigt oder ein anderes optisches oder akustisches Signal 
erzeugt. Bei einer weiteren Ausfuhrungsform der erfin- 55 
dungsgemaBen Uberwachungsvorrichtung werden erst bei 
mehreren Eintragen in den Fehlerspeicher 26 weitere Feh- 
lermeldungsmaBnahmen ergriffen. Die Kontrolleinheit 18 
weist auBerdem einen AnschluB 28 fur eine exteme Uber- 
priifungseinheit auf, die beispielsweise werkstattseitig ange- 60 
schlossen werden kann. Uber diesen AnschluB 28 kann ohne 
weiteres der Fehlerspeicher 26 abgerufen werden. 
[0024] Anhand des in Fig. 2 dargesteilten Iterationsab- 
laufs sollen eine mogliche Funktionsweise der erfindungs- 
gemaBen Uberwachungsvorrichtung und eine Ausfiihrungs- 65 
form des erfindungsgemaBen Uberwachungsverfahrens be- 
schrieben werden. 

[0025] Diese Ausfuhrungsform des erfindungsgemaBen 
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Uberwachungsverfahrens beginnt mit einer Aktivierung der 
Netzwerkfiberwachung. Auch wenn im Folgenden nur eine 
Uberwachung von fiber einen Datenbus gesendeten Nach- 
richten beschrieben wird, kann durch das erfindungsgemaBe 
Uberwachungs verfahren auch ein Netzwerk fiberwacht wer- 
den, das mehrere Datenbusse umfaBt. Ist die Netzwerkuber- 
wachung also aktiviert, werden die bekannten Nachrichten 
definiert, die schlieBlich in der Speichereinheit 20 abgelegt 
werden. Wie genau die bekannten Nachrichten definiert 
werden, geht aus Fig. 3 hervor. Danach wird zunachst die 
Speichereinheit 20 initialisiert. In einem nachfolgenden 
Schritt werden bestimmte Nachrichten in die Speicherein- 
heit 20 eingetragen und somit als bekannt definiert. Dies 
kann einmal dadurch erfolgen, daB alle fiber den Datenbus 
12 gesendeten Nachrichten ermittelt werden und in die Spei- 
chereinheit 20 eingetragen werden, wenn sichergestellt 
wird, daB in dieser Phase alle erwunschten Nachrichten der 
Sende- und Empfangseinheiten 14 auch tatsachlich fiber den 
Datenbus 12 gesendet werden. Dies kann beispielsweise da- 
durch sichergestellt werden, daB ein entsprechendes Initiali- 
sierungsprogramm durchgefuhrt wird, das die Versendung 
der gewunschten Nachrichten von den Sende- und Emp- 
fangseinheiten 14 initiiert. Alternativ konnen Nachrichten 
von einer externen Einheit fiber den AnschluB 28 der Kon- 
trolleinheit 18 in die Speichereinheit 20 eingespeist werden. 
Wie bereits oben beschrieben, konnen die Nachrichten in 
Form von Tabellen in die Speichereinheit 20 eingetragen 
werden. In einer weiteren Ausfuhrungsform der Erfindung 
kann vorgesehen sein, daB lediglich die Senderadressen der 
Nachrichten in der Speichereinheit abgelegt werden, so daB 
die Busteilnehmer erfaBt werden, die in der Lage sind, 
Nachrichten zu versenden. 

[0026] In einem weiteren Schritt wird geprfift, ob eine Ab- 
bruch- oder Endebedingung erfullt ist. Die Endebedingung 
kann zum Beispiel dann erfullt sein, wenn eine bestimmte 
Zeitspanne abgelaufen ist, die vorgesehen war, urn alle fiber 
den Datenbus 12 versendeten Nachrichten zu ermitteln und 
in der Speichereinheit 20 abzulegen. Eine solche Zeitspanne 
kann beispielsweise 10 Sekunden betragen. Werden die be- 
kannten Nachrichten von einer externen Einheit an die Spei- 
chereinheit 20 ubermittelt, so kann die Abbruch- bzw. Ende- 
bedingung auch durch ein entsprechendes Endesignal der 
externen Einheit erfullt sein. Solange diese Bedingung je- 
doch nicht erfullt ist, werden Nachrichten in die Speicher- 
einheit 20 eingetragen. Ist die Bedingung hingegen erfullt, 
wird der Vorgang des Definierens der bekannten Nachrich- 
ten beendet, und damit gelten alle Nachrichten als bekannt, 
die in der Speichereinheit 20 abgelegt sind. 
[0027] In Fig. 2 ist der weitere Verfahrensablauf der Aus- 
fuhrungsform des erfindungsgemaBen Uberwachungsver- 
fahrens dargestellt. Nachdem nun die bekannten Nachrich- 
ten definiert sind, wird uberpruft, ob die fiber den Datenbus 
12 gesendeten Nachrichten den bekannten Nachrichten ent- 
sprechen. Zu diesem Zweck vergleicht die Kontrolleinheit 
18 die fiber den Datenbus 12 gesendeten Nachrichten mit 
den in der Speichereinheit 20 abgelegten Nachrichten. Sind 
in der Speichereinheit 20 lediglich Senderadressen abgelegt, 
so werden die Nachrichten auch nur bezfiglich ihrer Sende- 
radressen fiberprfift. Werden bei dem Vergleich Unter- 
schiede festgestellt, heiBt das, daB fremde Nachrichten fiber 
den Datenbus 12 versendet wurden. Diese fremden Nach- 
richten konnen beispielsweise von einem systemexternen 
Sender 24 stammen. Es kann sich aber auch um solche 
Nachrichten handeln, die zwar von einer der Sende- und 
Empfangseinheiten 14 stammen, aber dennoch unerwfinscht 
sind und bei der vorherigen Definition der bekannten Nach- 
richten nicht berficksichtigt wurden. In diesem Fall werden 
sie nur als fremd erkannt, wenn in der Speichereinheit 20 
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nicht nur die Senderadressen der bekannten Nachrichten ab- 
gelegt sind, sondern auch die Empfangeradressen und/oder 
die kodierten Befehlsinhalte. Durch die Bewertungseinheit 
22 wird nun das Gefahrdungspotential bzw. die KenngroBe 
der freraden Nachrichten ermitlelt. Eine Gefahrdung kann 5 
beispielsweise darin bestehen, daB die fremden Nachrichten 
sehr haufig und mit sehr hohen Priori taten gesendet werden. 
In diesem Fall wird der Datenbus 12 so stark durch die frem- 
den Nachrichten belegt, daB die bekannten Nachrichten nur 
noch sehr selten oder gar nicht versendet werden konnen 10 
und daher moglicherweise eine Steuerung oder Regelung 
der Kraftfahrzeugkomponenten 16 eingeschrankt oder ver- 
hindert wird. Die KenngroBe kann also proportional der 
Sendehaufigkeit oder der Prioritat der fremden Nachrichten 
sein. Weiterhin kann ein Produkt von Prioritat und Sende- 15 
haufigkeit der fremden Nachrichten gebildet werden, das 
dann in die Ermittlung der KenngroBe eingeht. Weiterhin 
kann die GroBe der fremden Nachrichten in die Ermittlung 
der KenngroBe eingehen, da insbesondere groBe Nachrich- 
ten ein hoheres Gefahrdungspotential besitzen. Eine Gefahr- 20 
dung kann allerdings auch darin bestehen, daB die fremden 
Nachrichten unerwiinschte Befehle kodieren. Beispiels- 
weise konnte eine fremde Nachricht einen Befehlsinhalt ko- 
dieren, der dazu fuhrt, daB eine Kraftfahrzeugkomponente 
16 eine Funktion ausfuhrt, die unerwiinscht ist und eine Ge- 25 
fahr fur Mensch und/oder Kraftfahrzeug darstellen kann. 
Eine derartige Gefahrdung kann von fremden Nachrichten 
mit bestimmten Empfangeradressen, bestimmten Sende rad- 
ressen und/oder bestimmten kodierten Befehlsinhalten aus- 
gehen. Beim Auftreten dieser bestimmten Empfangeradres- 30 
sen und/oder Senderadressen und/oder kodierten Befehlsin- 
halten kann den fremden Nachrichten daher eine KenngroBe 
zugeordnet werden, die den Grad der Gefahrdung reprasen- 
tiert. Zu diesem Zweck konnen in der Kontrolleinheit 18 
KenngroBen abgelegt sein, die den bestimmten Empfange- 35 
radressen und/oder Senderadressen und/oder kodierten Be- 
fehlsinhalten zugeordnet sind. Treten die bestimmten Emp- 
fangeradressen und/oder Senderadressen und/oder kodierten 
Befehlsinhalte dann bei den fremden Nachrichten auf, wer- 
den die jeweils zugeordneten KenngroBen an diese fremden 40 
Nachrichten vergeben. 

[0028] In einem weiteren Schritt wird uberpriift, ob die 
KenngroBe groBer ist als ein in der Kontrolleinheit 18 eben- 
falls abgelegter Schwellenwert. Der Schwellenwert legt da- 
bei einen gewissen Toleranzbereich fest. Ist das Gefahr- 45 
dungspotential kleiner als der Schwellenwert kann das Ver- 
fahren entweder zum Definieren der bekannten Nachrichten 
zuriickgefuhrt werden oder zu dem Schritt zuruckgeschleift 
werden, bei dem gepruft wird, ob die uber den Datenbus 12 
gesendeten Nachrichten mit den bekannten Nachrichten 50 
ubereinstimmen oder nicht. Ist die KenngroBe jedoch groBer 
als der Schwellenwert, erfolgt in der in Fig. 2 dargestellten 
Ausfuhrungsform ein Eintrag einer Fehlermeldung in den 
Fehlerspeicher 26. Der Fehlerspeicher 26 kann, wie bereits 
oben erwahnt, uber eine externe Uberpriifungseinheit abge- 55 
rufen werden, so daB ein Kundendienst oder eine Werkstatt 
sofort Informationen zu dem aufgetretenen Fehler erhalt. 
Durch die externe Uberpriifungseinheit konnen gegebenen- 
falls auch detailliertere Auswertungen vorgenommen wer- 
den oder entsprechende MaBnahmen zur Behebung des Feh- 60 
lers ergriffen werden. Auch "on board" folgt bei einem oder 
erst bei mehreren Fehlerspeichereintragen eine detaillierte 
Analyse der fremden Nachrichten. Falls dies bisher noch 
nicht geschehen ist, konnen bei dieser Analyse die Sende- 
radressen und/oder die Empfangeradressen und/oder die ko- 65 
dierten Befehlsinhalte der fremden Nachrichten ermittelt 
werden. Diese Analyse ist optional, und kann in weiteren 
Ausfuhrungsformen des erfindungsgemaBen Uberwa- 
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chungs verfahrens iibersprungen werden. Falls der Fehler 
nicht sofort werkstattseitig behoben werden kann oder soli, 
kann eine NotlaufmaBnahme eingeleitet werden, die dazu 
dient, die Gefahrdung weitgehend zu beseitigen und so ei- 
nen ungefahrlichen Betrieb des Kraftfahrzeugs zu ermogli- 
chen. Konnte beispielsweise ein fremder Sender wie der sy- 
stemexterne Sender 24 identifiziert werden, der die fremden 
Nachrichten iiber den Datenbus 12 versendet, kann der sy- 
stemexterne Sender 24 durch die NotlaufmaBnahme in einen 
sicherheitunkritischen Zustand versetzt werden. Wurden 
fremde Nachrichten identifiziert, die als Empfangeradresse 
eine Sende- und Empfangseinheit 14 tragen und Befehlsin- 
halte kodieren, die zu einer unerwunschten Funktion einer 
Kraftfahrzeugkomponente 16 fuhren wurden, so kann durch 
die NotlaufmaBnahme auch diese Sende- und Empfangsein- 
heit 14 in einen sicherheitsunkritischen Zustand versetzt 
werden, in dem die unerwiinschte Funktion der Kraftfahr- 
zeugkomponente 16 nicht ausgeubt werden kann. 
[0029] In einem nachfolgenden Schritt wird uberpriift, ob 
eine Abbruch- oder Endebedingung erfullt ist, Eine solche 
Bedingung kann erfullt sein, wenn eine bestimmte Zeit- 
spanne uberschritten ist oder beispielsweise auch, wenn die 
Zundung des Kraftfahrzeugs auf "AUS" gestellt wird. In 
diesem Fall wird das Uberwachungsverfahren beendet. Ist 
die Abbruch- oder Endebedingung nicht erfullt, kann das 
Verfahren entweder zum Definieren der bekannten Nach- 
richt oder zu einem Schritt zuruckgeschleift werden, in dem 
uberpriift wird, ob die uber den Datenbus 12 gesendeten 
Nachrichten mit den bekannten Nachrichten ubereinstim- 
men oder nicht. 

[0030] Weitere Veranderungen, Modifikationen oder 
Kombinationen der oben beschriebenen Ausfuhrungsfor- 
men sind fur den Fachmann offensichtlich und fallen ebenso 
unter den Schutzumfang der beigefugten Anspriiche. 

Patentanspriiche 

1. Uberwachungsvorrichtung zur Oberwachung von 
iiber einen Datenbus (12) gesendeten Nachrichten in 
einem Kraftfahrzeug, 

wobei die Oberwachungsvorrichtung eine an den Da- 
tenbus (12) angeschlossene Kontrolleinheit (18) urn- 
faBt, die eine Speichereinheit (20) aufweist, in der be- 
kannte Nachrichten abgelegt sind, 
wobei die Kontrolleinheit (18) dazu ausgelegt ist, die 
iiber den Datenbus (12) gesendeten Nachrichten zu er- 
mitteln und diese mit den in der Speichereinheit (20) 
abgelegten bekannten Nachrichten zu vergleichen, wo- 
bei durch den Vergleich mindestens eine fremde Nach- 
richt ermittelbar ist, 

wobei die Kontrolleinheit (18) eine Bewertungseinheit 
(22) fur die Ermittlung einer KenngroBe der minde- 
stens einen fremden Nachricht aufweist, wobei die 
KenngroBe charakteristisch fur eine Gefahrdung eines 
einwandfreien Betriebs des Kraftfahrzeugs durch die 
mindestens eine fremde Nachricht ist, 
wobei die Kontrolleinheit (18) dazu ausgelegt ist, eine 
Fehlermeldung zu generieren, wenn die KenngroBe der 
mindestens einen fremden Nachricht einen Schwellen- 
wert uberschreitet. 

2. Uberwachungsvorrichtung nach Anspruch 1, da- 
durch gekennzeichnet, daB die Kontrolleinheit (18) ei- 
nen Fehlerspeicher (26) aufweist, in den die Fehlermel- 
dung eintragbar ist. 

3. Uberwachungsvorrichtung nach Anspruch 2, da- 
durch gekennzeichnet, daB der Fehlerspeicher (26) der- 
artig ausgebiidet ist, daB er durch eine externe Uber- 
priifungseinheit abrufbar ist. 
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4. Uberwachungsverfahren zur Uberwachung von 
tiber einen Datenbus (12) gesendelen Nachrichten, um- 
fassend folgende Schritte: 

a) Ermitteln der iiber den Datenbus (12) gesende- 
len Nachrichten; 5 

b) Vergleichen der errnittelten Nachrichten mit in 
einer Speichereinheit (20) abgelegten bekannten 
Nachrichten zur Ermitdung inindestens einer 
fremden Nachricht; 

c) Ermitteln einer KenngroBe der mindestens ei- 10 
nen fremden Nachricht, die charakteristisch flir 
eine Gefahrdung eines einwandfreien Betriebs des 
Kraftfahrzeugs durch die mindestens eine fremde 
Nachricht ist; und 

d) Generieren einer Fehlermeldung, wenn die 15 
KenngroBe der mindestens einen fremden Nach- 
richt einen Schwellenwert uberschreitet. 

5. Uberwachungsverfahren nach Anspruch 4, dadurch 
gekennzeichnet, daB die Gefahrdung darin besteht, daB 
die mindestens eine fremde Nachricht die Datenbuska- 20 
pazitat fur die bekannten Nachrichten entscheidend be- 
schrankt. 

6. Uberwachungsverfahren nach Anspruch 5, dadurch 
gekennzeichnet, daB in Schritt c) eine Sendehaufigkeit 
ermittelt wird, mit der die mindestens eine fremde 25 
Nachricht gesendet wird, und die KenngroBe mit der 
Sendehaufigkeit beaufschlagt ist, insbesondere propor- 
tional zu der Sendehaufigkeit ist. 

7. Uberwachungsverfahren nach Anspruch 5, dadurch 
gekennzeichnet, daB in Schritt c) eine Prioritat ermittelt 30 
wird, mit der die mindestens eine fremde Nachricht ge- 
sendet wird, und die KenngroBe mit der Prioritat beauf- 
schlagt ist, insbesondere proportional zu der Prioritat 
ist. 

8. tjberwachungsverfahren nach Anspruch 5, dadurch 35 
gekennzeichnet, daB in Schritt c) eine Prioritat und eine 
Sendehaufigkeit ermittelt werden, mit denen die min- 
destens eine fremde Nachricht gesendet wird, und die 
KenngroBe mit einer mathematischen Verkniipfung 
von Prioritat und Sendehaufigkeit beaufschlagt ist, ins- 40 
besondere proportional zu der mathematischen Ver- 
kniipfung von Prioritat und Sendehaufigkeit ist. 

9. Uberwachungsverfahren nach Anspruch 4, dadurch 
gekennzeichnet, daB die Gefahrdung darin besteht, daB 
die mindestens eine fremde Nachricht einen uner- 45 
wiinschten Befehl codiert. 

10. Uberwachungsverfahren nach Anspruch 9, da- 
durch gekennzeichnet, daB in Schritt c) eine Empfan- 
geradresse und/oder eine Senderadresse und/oder ein 
codierter Befehlsinhali der mindestens einen fremden 50 
Nachricht ermittelt wird, wobei der Empfangeradresse 
und/oder der Senderadresse und/oder dem codierten 
Befehlsinhalt der mindestens einen fremden Nachricht 
eine KenngroBe zugeordnet wird, die einen Grad der 
Gefahrdung reprasentiert. 55 

1 1 . Uberwachungsverfahren nach einem der vorherge- 
henden Anspriiche 4 bis 10, dadurch gekennzeichnet, 
daB bei Uberschreiten des Schwellenwerts eine Ana- 
lyse der mindestens einen fremden Nachricht, insbe- 
sondere bezuglich einer Senderadresse und/oder einer 60 
Empfangeradresse und/oder eines codierten Befehlsin- 
halts, durchgefuhrt wird, wobei das Analyseergebnis in 
die Fehlermeldung aufgenommen wird. 

12. Uberwachungsverfahren nach einem der vorherge- 
henden Anspriiche 4 bis 11, dadurch gekennzeichnet, 65 
daB bei tjberschreiten des Schwellenwerts eine Not- 
laufmaBnahme durchgefuhrt wird, bei der mindestens 
ein Busteilnehmer des Datenbusses (12) in einen si- 
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cherheitsunkritischen Zustand versetzt wird. 

13. Uberwachungsverfahren nach Anspruch 12, da- 
durch gekennzeichnet, daB der mindestens eine Bus- 
teilnehmer einen Sender mit einer Senderadresse der 
mindestens einen fremden Nachricht und/oder einen 
Empfanger mit einer Empfangeradresse der minde- 
stens einen fremden Nachricht umfaBt. 

14. Uberwachungsverfahren nach einem der vorherge- 
henden Anspriiche 4 bis 13, dadurch gekennzeichnet, 
daB die bekannten Nachrichten in der Speichereinheit 
(20) abgelegt werden, indem in einem Initialisierungs- 
schritt innerhalb einer vorbestimmten Zeitspanne alle 
Nachrichten, die iiber den Datenbus (12) gesendet wer- 
den, in die Speichereinheit (20) eingetragen werden. 
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